“大变活人”竟成金融犯罪“沃土”？

葛辛晶

一起人脸识别技术“漏洞”引发的特大税案被广泛关注。

日前，上海市虹口区人民检察院公诉了一起特大虚开增值税普通发票案。该案中，被告人通过破解人脸识别技术等方式，注册“皮包公司”用于虚开金额超过5亿元的增值税普通发票。

30元就能买张“脸”

此案除了涉案金额庞大外，更引人深思的是其以人脸识别等前沿技术突破了法律的边界，产生了重要的警示意义。犯罪嫌疑人的作案手法主要分为三个步骤：

首先，获取人脸素材。犯罪嫌疑人从“黑产”处以每个30元的价格，收购大量用户的高清头像和身份证信息，而后使用AI“焕活”技术，让照片“活灵活现”，完成转头、张嘴、眨眼等基本识别动作，并制作成相应的假视频。

其次，要让假视频骗过手机的“眼”。犯罪嫌疑人事先在手机内植入黑客程序，使得手机在人脸识别环节时，不仅不会打开前置摄像头捕捉人像，还会读取内置的假视频，进而完成识别“错人”的链路。

最后，利用假身份注册“皮包公司”并虚开发票。只要能骗过了手机的“眼”，犯罪嫌疑人便能轻松冒充办事员在政务平台上注册“皮包公司”，并利用“皮包公司”的名义虚开增值税普通发票非法牟利。

在本案中，多名犯罪嫌疑人构成了专业化的犯罪团伙，能以较为前沿的黑客技术劫持智能手机，突破终端手机的安防线，但同时，犯罪嫌疑人还交代称，市场上充斥着大量的人脸假视频制作、破解软件等“黑产”分子，甚至只要花费25-300元不等就能破解用户常用App，涉及政务、安防、金融、支付、生活消费等App。

此外，除了利用假视频、破解技术开展虚开发票外，犯罪嫌疑人还注册新账号从事骗取各类App补贴优惠等违法犯罪行为，在社会上造成了巨大的不良影响。

AI“活”脸

曾“引爆”社交媒体

数字化时代，AI发展水平稳步提升，但当AI与用户数据、隐私等敏感信息或生物特征信息结合时，一场融合伦理、安全、流量的多元博弈藉此展开。结合上述案件，笔者不仅联想到，“引爆”抖音、微博等社交媒体的“蚂蚁呀嘿”系列短视频。

在神曲“蚂蚁呀嘿”的背景音乐下，被技术“焕活”的马云、马化腾、马斯克、雷军等知名人士，一起挤眉弄眼哼唱小曲。“蚂蚁呀嘿”一炮打响后，吴京、甄子丹等一众明星也纷纷参与其中，发布“自黑”式“蚂蚁呀嘿”小视频。

截至3月5日，抖音“蚂蚁呀嘿”相关话题，播放总量已超29亿次，特效被 785 万人使用。

“蚂蚁呀嘿”之所以成為现象级热点，不仅是其“洗脑”、欢快的视频风格所致，还有其简单的制作方法降低了网友的参与门槛。网友仅需下载一款名叫Avatarify的App，再搭载加速器即可满足软件要求，变身“换脸”大师，即在加速模式下打开Avatarify，而后选择一张人脸照片，以及相关特效动画，点击“生成”，再发布至社交媒体上即可。

在从众效应的带动下，越来越多的网友或博眼球、或喜逗乐、或蹭热点，组成了社交媒体上的“蚂蚁”大军。然而，“蚂蚁呀嘿”的热潮仅持续了不到一个星期就被App store中国区等软件下载平台强制下架，抖音等媒体平台上的热度也渐渐消失不见。

“来也匆匆，去也匆匆”的“蚂蚁呀嘿”，并不是国内第一股AI“活”脸风潮，早在2019年8月，换脸App“ZAO”也曾昙花一现，并最终因存在的数据泄露风险等网络数据安全问题，相关负责人被工业和信息化部网络安全管理局约谈。

也许是互联网没有记忆，抑或是AI“活”脸深得网友喜好，以及产业背后利益实属巨大，让变脸视频换了张“面孔”，披着“蚂蚁呀嘿”营销外衣再次卷土重来。

“过脸”黑客竟成“贵人”？

不管AI“活”脸系列软件开发的初衷如何，都无法从用户人脸信息安全的角度站稳脚跟。毕竟有人想的是博眼球、蹭热度，而有人却想用技术来非法牟利、逃避监管，并且在此基础上，还延伸出终端入侵的黑客产业，其通过特定程序使刷脸终端自动读取内置假视频，逃避来自企业、软件提供方等的监管约束，这一行为在业内俗称“过脸”“脸识别”“扫脸”等。

“有的公司上班考勤要进行人脸识别打卡，有员工为了逃避打卡，便以每月30元的费用，委托黑客入侵打卡App，利用人脸识别漏洞来完成打卡。”一位网络安防公司相关负责人透露。

目前，在QQ平台上，存在着不少相关的聊天群。即使是普通用户，要找到黑客也不难，而在群内也时不时有人付费邀请黑客破解支付软件、打卡设备的人脸识别审核难关等。此外，群内也有黑客在群内交流、分享破解技术、资料等，以及批量贩卖人脸信息的“料商”，其手上的人脸根据反复使用次数的多少而价格不等，易被拦截的“老脸”低至1元，撞库捕捉的“新脸”超过800元，由此形成了一条完整的黑色产业链。

在高速发展的AI、相对宽松网络环境下，“过脸”的门槛被大大降低。甚至，仅需要通过一两款App就能自主完成假视频的制作，而网上提供相关服务的App并不在少数，大部分App并未被下架，仍在App Store等软件平台上随处可见，其中最常见的有“你我当年”“活照片”“轻松换脸”等App。

由于业界的人脸识别技术主要是固定几个方法，相似度很高。如果黑客提供一个专用于破解人脸识别的开源软件，并在互联网上广泛流传，那么犯罪分子利用漏洞进行各类App实施违法犯罪将犹如“入无人之境”。

三力筑牢人脸“安全墙”

生物识别技术具有天然的不可篡改性，而人脸又较其他技术来得更易获取。倘若人脸信息被被不法分子分析窃取并威胁到金融账户安全、个人名誉，难道后续用户只能选择整容吗？近年来关于如何提高人脸安全的讨论越发激烈，从产业各方到每一位普通用户，应如何加强人脸防护，合力筑牢人脸“安全墙”呢？

从设备、软件等B端厂商的角度，当务之急应是查漏补缺。排摸国内政务、安防、金融、支付、生活消费等核心App应用的相关漏洞，及时打上补丁，并提高风控监管的措施和力度，让系统能在第一时间发觉不正常攻击，进而锁定目标，限制服务。

“手机厂商在写入手机系统时可内置安全模块，防止黑客绕过手机摄像头启动环节、对摄像头实现劫持，从源头上实现安全守护。”新华三集团安全专家曹亮表示。

眼下軟件提供方大多将人脸识别作为唯一的验证方式，而鱼龙混杂的人脸视频市场亦加剧了相关风险的积累，因此软件提供方应扩充验证环节的多重性，加载多模态生物识别或多环节认证，提高认证、审核环节的安防性。

从监管者的角度，应落实更为细化的行业标准，提高门槛。监管机构应加速制定、落实人脸识别等生物识别技术的安全标准、行业使用规范、商业服务要求等监管条例，在保证产品安全的基础上，扣牢行业参与者头上的“紧箍咒”。

目前，欧美多地针对人脸识别技术出台禁令，其中欧盟的《通用数据保护条例》（General Data Protection Regulation，简称GDPR）被誉为史上最严数据保护条例。

“我国国内现有的法条并没有给涉及收集处理相关数据的企业造成足够的合规压力。”全国政协委员、民进上海市委专职副主委胡卫表示。从20世纪90年代起，我国从民事、刑事等角度陆续出台了《关于加强网络信息保护的决定》《消费者权益保护法》《网络安全法》等条款，其中往往缺乏对于如何监管及处置企业侵害公民个人信息、如何开展个人信息分级分类保护等问题的实施细则。

2020年10月21日，《个人信息保护法（草案）》公开征求社会公众意见，虽然管理条例及对应的处罚力度上有了一定的提升，但其中部分条款的可操作性仍需进一步明确。“每个行业也有各自特性，对数据敏感程度不一，未来各部门、各地方政府结合各自特征再推出细化的规章制度或许是更符合现实的考量。”全联并购公会信用管理专业委员常务副主任刘新海表示。

从用户的角度，提高个人数据安全防护意识。2020年11月，网上曾疯传一则视频，视频中一男子为了保护个人信息，戴着头盔去售楼处看房。此举的初衷是因某售楼处向未被人脸识别系统记录过的新购房者提供购房优惠。此外，类似线下商户人脸杀熟案例比比皆是，今年“3·15”晚会上，科勒卫浴、宝马、港汇恒隆Max Mara等多家知名品牌门店便榜上有名。

在此，我们姑且不论售楼处等线下商户安装人脸识别系统是否合法合规，仅从用户的角度来看，我们需要建立健全的个人数据防护意识，拒绝被动地在不熟悉、不可信的刷脸终端地上“到此一游”。同时，也要尽量避免使用非大型企业背书的刷脸应用、刷脸环节，以防人脸信息被不正规厂商私自保存、使用、贩卖等。

安全，是人脸识别等AI技术被广泛应用的根本，当AI技术带动智能产业欣欣向荣时，背后的博弈亦开始启动。当技术被应用于合理的途径，则能加速产业链转型脚步，提升用户体验，但当其落入不法分子之手后，就可能释放更严重的负面影响，因此，正确驾驭技术为产业赋能，为民造福的路，任重而道远，着眼脚下，查漏补缺，居安思危需要当下我们每一个人，每一方市场力量的努力。